c#SQL参数化查询自动生成SqlParameter列表

最新推荐文章于 2024-07-15 15:39:49 发布

天水宇

最新推荐文章于 2024-07-15 15:39:49 发布

阅读量7.7k

点赞数 3

分类专栏：数据库文章标签： .net sql SqlParameter

本文链接：https://blog.csdn.net/xxs77ch/article/details/51513722

版权

本文介绍了一种方法，用于在C#中自动填充SqlParameter列表，以简化大量数据的参数化查询过程，有效防止SQL注入。该方法支持泛型和动态类型如Object及ExpandoObject。

摘要由CSDN通过智能技术生成

string sql = @"INSERT INTO stu VALUES (@id,@name) ";

参数化查询是经常用到的，它可以有效防止SQL注入。但是需要手动去匹配参数@id，@name。数据量大时很繁琐，下面是自动填充SqlParameter列表的实现。

支持泛型，Object和ExpandoObject动态类型

using System;
using System.Collections.Generic;
using System.Data.SqlClient;
using System.Linq;
using System.Reflection;
using System.Text;
using System.Text.RegularExpressions;
using System.Dynamic;
namespace Comm
{
    /// <summary>
    /// 作者:徐晓硕
    /// 邮箱:xuxiaoshuo@fang.com
    /// 版本:v1.0.0
    /// </summary>
    public class GetSqlParameters
    {
        /// <summary>
        /// 过滤参数的规则
        /// </summary>
        private static Regex reg = new Regex(@"@\S{1,}?(,|\s|;|--|\)|$)");

        private static char[] filterChars = new char[] { ' ', ',', ';', '-',')' };

        /// <summary>
        /// 根据sql语句和实体对象自动生成参数化查询SqlParameter列表
        /// </summary>
        /// <typeparam name="T">实体对象类型</typeparam>
        /// <param name="sqlStr">sql语句</param>
        /// <param name="obj">实体对象</param>
        /// <returns>SqlParameter列表</returns>
        public static List<SqlParameter> From<T>(String sqlStr, T obj)
        {
            List<SqlParameter> parameters =